npm
npm（Node Package Manager）是JavaScript生态系统中广泛使用的包管理工具，随Node.js一同发布。它提供命令行界面，用于安装、发布、更新和卸载JavaScript软件包，并自动处理项目依赖关系与版本管理。npm同时指其配套的在线软件仓库npm Registry，开发者可通过该平台共享和复用开源代码模块，是现代前端与Node.js后端开发的基础工具之一。
核心事实
时间轴 (近 90 天)
npm历史上曾多次出现恶意包，如typosquatting仿冒包和event-stream事件。
签名验证配合锁文件（lockfile）中的 integrity 哈希，构成了 npm 生态两道基础的完整性防线：前者确认来源身份，后者确认包内容未被篡改。
当项目中间接依赖了 @ai-sdk/provider-utils 的多个版本时，npm/pnpm 可能将其分别安装在嵌套的 node_modules 中，导致 TypeScript 编译通过但在运行时出现结构不一致，或在类型检查时报出'两个同名类型不兼容'。
使用 `npm ls @ai-sdk/provider-utils` 或 pnpm 的 `why` 命令核对依赖树，必要时通过 overrides/resolutions 强制统一版本，是排查多版本共存导致类型不匹配问题的常用手段。
在 npm 生态中，语义化版本的 patch 位（第三位）递增表示向后兼容的修复。
可以将提交或发布标签的有效签名纳入 CI 自动化检查，并结合 npm provenance 证明和锁文件校验形成可追溯链路。
对下游项目而言，签名本身不保证代码无缺陷，但能确认包来自可信的发布流水线，降低被第三方篡改或仿冒发布的供应链风险。
npm 生态遵循语义化版本规范，版本号形如 主版本号.次版本号.修订号。
在 npm/pnpm 中可用 overrides、在 yarn 中可用 resolutions 字段显式钉住依赖版本。
仅修改 package.json 中的版本范围不一定能让 @ai-sdk/openai-compatible 升级到 2.0.89，需要执行 npm update、pnpm update 或删除锁文件重装。
还有 40 条时间轴事件
全部知识事实 (20)
语义化版本（SemVer）版本号格式为主版本.次版本.补丁版本，补丁版本递增表示向后兼容的问题修复
90%已验证语义化版本控制（SemVer）将版本号定义为 MAJOR.MINOR.PATCH 三段式结构，PATCH 变更仅包含向后兼容的缺陷修复或依赖更新
90%已验证升级方式为运行 npm install @ai-sdk/openai@4.0.60
90%已验证GPG 签名是基于公钥密码学的数字签名机制，用于软件发布的完整性验证，可防范供应链攻击
90%已验证Claude Code 通过 npm 全局安装，命令为 npm install -g @anthropic-ai/claude-code
90%已验证在命令行输入 node -v 和 npm -v 可以查看 Node.js 和 npm 的版本号，验证是否已安装
80%已验证Claude Code通过npm全局安装，安装命令为npm install -g @anthropic-ai/claude-code
80%已验证npm（Node Package Manager）托管超过 200 万个软件包，是全球最大的开源软件注册表
80%已验证github-actions 是 GitHub 官方的 CI 机器人账号，仓库可配置在打 tag 时自动构建并发布到 npm。
80%已验证npm 生态普遍遵循 SemVer 规范，PATCH 位递增表示向后兼容的缺陷修复，MINOR 位递增表示向后兼容的新功能，MAJOR 位递增表示存在破坏性变更。
80%已验证在 npm 生态中，^3.0.25 这类范围声明会自动接受补丁与次版本升级，执行 npm update 时会自动获取 3.0.26
80%已验证语义化版本规范（SemVer）将版本号定义为 MAJOR.MINOR.PATCH 三段结构，PATCH 递增表示向后兼容的缺陷修复，MINOR 表示向后兼容的新功能，MAJOR 表示破坏性变更
80%已验证peerDependencies 是 npm 包管理中的一种依赖声明机制，不会在安装时自动下载，而是要求宿主项目自行提供指定版本的依赖
80%已验证可通过npm install @ai-sdk/zai@1.0.3或yarn add @ai-sdk/zai@1.0.3命令进行升级
80%已验证AI SDK 使用 Changesets 工具进行 Monorepo 架构的版本管理和发布，当核心包变更时会自动级联更新下游包版本号并生成 changelog
80%已验证npm 生态另有 provenance 机制，可将发布产物与其源码仓库、构建流水线绑定并生成可公开核查的证明。
75%已验证CI 环境中使用 npm ci 或 pnpm install --frozen-lockfile 会严格按锁文件安装，不解析 semver 范围。
75%已验证npm 依赖声明中 ^3.0.19 允许安装到 <4.0.0 的任意版本，~3.0.19 则只允许 <3.1.0 的版本。
75%已验证对于使用 ^1.0.0 等宽松依赖锁定的项目，执行常规包管理器更新即可获得 1.0.151 版本。
75%已验证Lockfile 是 npm、pnpm、yarn 等包管理器生成的依赖版本快照文件，常见形式为 package-lock.json、pnpm-lock.yaml 或 yarn.lock。
75%